Ignorer les résultats dans les demandes

Le connecteur SCC Enterprise Urgent Posture Findings ingère tous les résultats dans les demandes, mais vous pouvez remarquer des résultats spécifiques qui semblent non pertinents pour votre projet ou qui indiquent un comportement attendu. Dans ce cas, le flux de résultats négligeables peut compliquer la charge de travail des analystes en sécurité et les empêcher de répondre efficacement aux vulnérabilités importantes. Au lieu de recevoir constamment des notifications concernant les résultats non pertinents existants dans Security Command Center Enterprise, vous pouvez les masquer.

Lorsque vous ignorez des résultats pour des cas, ils n'apparaissent plus dans les cas. Vous pouvez ignorer des résultats de manière groupée en exécutant une action manuelle sur un cas, ou ignorer un résultat individuel en exécutant une action manuelle sur l'alerte spécifique.

Ignorer plusieurs résultats

Si vous masquez tous les résultats d'une alerte, Security Command Center la clôture automatiquement.

Pour désactiver plusieurs résultats dans une étude de cas, procédez comme suit :

  1. Dans la console Google Cloud , ouvrez Risque > Demandes.
  2. Sélectionnez une fiche contenant les résultats à masquer.
  3. Dans l'onglet Aperçu de la demande, cliquez sur Action manuelle.
  4. Dans le champ d'action manuelle Rechercher, saisissez Update Finding.

  5. Dans les résultats de recherche, sous l'intégration GoogleSecurityCommandCenter, sélectionnez l'action Update Finding (Mettre à jour le résultat). La boîte de dialogue d'action s'ouvre.

    Par défaut, le paramètre Exécuter sur les alertes est défini sur la valeur Toutes les alertes.

  6. Facultatif : Pour modifier les paramètres par défaut du paramètre Exécuter sur les alertes, sélectionnez les types de résultats concernés dans la liste déroulante.

  7. Pour configurer le paramètre Nom de la recherche, saisissez l'espace réservé suivant : [Alert.TicketID]

    L'espace réservé récupère de manière dynamique les noms des résultats correspondant aux alertes sélectionnées.

  8. Pour bloquer des résultats, définissez le paramètre État de blocage sur Bloqué.

  9. Cliquez sur Exécuter.

Ignorer un résultat individuel

Pour désactiver une découverte individuelle, vous devez exécuter l'action Update Finding (Mettre à jour la découverte) sur une alerte spécifique dans le dossier. Cette action n'a aucune incidence sur les autres alertes du dossier.

Pour ignorer un résultat individuel, procédez comme suit :

  1. Dans la console Google Cloud , accédez à Risque > Demandes pour ouvrir la page Liste des demandes de la console Security Operations.
  2. Sélectionnez une fiche contenant les résultats à masquer.
  3. Dans un cas, sélectionnez l'alerte contenant un résultat à ignorer.
  4. Dans une alerte, accédez à l'onglet Événements.
  5. Pour récupérer un nom de résultat à partir d'un événement, cliquez sur Afficher plus. La vue détaillée de l'événement s'ouvre.

  6. Dans la section Champs mis en surbrillance, recherchez un nom de champ Nom. Cliquez sur sa valeur pour afficher le nom complet du résultat. Copiez la valeur du nom complet du résultat au format suivant :

    organizations/ORGANIZATION_ID/sources/SOURCE_ID/finding/FINDING_ID

  7. Dans l'onglet Aperçu de l'alerte de l'alerte sélectionnée, cliquez sur Action manuelle.

  8. Dans le champ Rechercher de l'action manuelle, saisissez Update Finding.

  9. Dans les résultats de recherche, sous l'intégration GoogleSecurityCommandCenter, sélectionnez l'action Update Finding (Mettre à jour le résultat). La boîte de dialogue d'action s'ouvre.

    Par défaut, le paramètre Exécuter sur les alertes est défini sur la valeur de l'alerte sélectionnée.

  10. Pour configurer le paramètre Nom de la recherche, collez la valeur Nom que vous avez copiée à partir de la vue détaillée de l'événement.

  11. Pour ignorer un résultat, définissez le paramètre État "Ignoré" sur Ignorer.

  12. Cliquez sur Exécuter.

Étape suivante